Apple veröffentlichte iOS 27.2 und iPadOS 27.2 am 26. Oktober 2026. Das Sicherheitsupdate behebt laut Apple Schwachstellen mit möglichen Folgen wie dem Zugriff auf sensible Daten, dem Umgehen von Datenschutzeinstellungen und der Ausführung von Schadcode. Eine Auswertung zählt 163 CVE-Kennungen für die iPhone- und iPad-Hinweise; Apple selbst stellt diese Zahl nicht als Gesamtwert heraus.
Die Veröffentlichung passt in die Reihe der früheren iOS-27-Sicherheitskorrekturen von NeoTeo, behandelt aber die separate Version 27.2. Apple führt das Update für iPhone 11 und neuer sowie bestimmte iPad-Generationen auf.
Was die 163 CVE-Kennungen aussagen
CVE ist die Kurzform für eine standardisierte Kennung einer Sicherheitslücke. Die Zahl 163 bezieht sich auf die in einer externen Auswertung gezählten Kennungen im gemeinsamen iPhone- und iPad-Sicherheitshinweis. Apples Sicherheitsbulletin zu iOS 27.2 und iPadOS 27.2 beschreibt die einzelnen Fehler und Korrekturen, nennt aber keine entsprechende Gesamtzahl als Schlagzeile.
Welche Folgen Apple für einzelne Schwachstellen nennt
Apple beschreibt mögliche Auswirkungen, nicht bestätigte Angriffe auf einzelne Nutzer. Bei CVE-2026-86987 könnte ein Angreifer aus der Ferne über ein Berechtigungsproblem in Apple Intelligence auf sensible Nutzerdaten zugreifen. Apple nennt dafür iPhone 15 Pro und neuere Modelle sowie bestimmte iPad Pro, iPad Air und iPad mini. Die Korrektur verbessert die Prüfung von Berechtigungen.
| CVE und Komponente | Mögliche Auswirkung laut Apple | Genannte Korrektur |
| CVE-2026-86987, Apple Intelligence | Ein Angreifer könnte aus der Ferne auf sensible Nutzerdaten zugreifen. | Verbesserte Prüfung von Berechtigungen |
| CVE-2026-112500, Mail und Hide My Email | Die ursprüngliche E-Mail-Adresse könnte offengelegt werden. | Verbesserte Einschränkungen |
| CVE-2026-112697, WebKit | Manipulierte Webinhalte könnten beliebige Codeausführung ermöglichen. | Verbesserte Speicherverwaltung bei einem Use-after-free-Fehler |
| CVE-2026-112612, Accounts | Ein Angreifer könnte beliebige Dateien lesen und schreiben. | Verbesserte Pfadvalidierung |
Bei CVE-2026-112612 gilt eine konkrete Voraussetzung: Der Angreifer muss physischen Zugriff auf ein vertrauensgekoppeltes Gerät haben. Apple beschreibt diesen Fehler nicht als Fernangriff. Die Bedingungen unterscheiden sich also je nach Schwachstelle; aus den einzelnen Einträgen ergibt sich kein einheitlicher Angriffsweg.
Was Apple zur Ausnutzung sagt
Apples Sicherheitsbulletin trifft keine Aussage dazu, ob eine der aufgeführten Schwachstellen aktiv ausgenutzt wurde. Daraus folgt weder eine Bestätigung solcher Angriffe noch die Aussage, dass es keine gegeben hat.
Wie Apple Sicherheitsmeldungen bewertet
Apple verlangt für eine verwertbare Meldung eine klare, konkrete Beschreibung, nachvollziehbare Schritte zur Reproduktion und einen funktionierenden Exploit oder einen zuverlässigen Machbarkeitsnachweis. Nach Apples Regeln sind mit KI entdeckte Probleme ohne angemessene Validierung nicht für Prämien aus dem Apple Security Bounty berechtigt. Diese Vorgaben beschreiben Apples Einreichungsregeln; sie benennen nicht die Entdeckungsmethode einer bestimmten Schwachstelle aus iOS 27.2.
